不正アクセスへの不安を減らす打ち手
ファイアウォールとは、社内ネットワークと外部の通信を監視し、許可した通信だけを通す仕組みです。不正アクセスへの備えを強めたい場合、通信の入り口をどこまで確認できるかが検討の中心になります。
通信の中身まで確認する仕組みを検討する
従来型のファイアウォールは、通信元と通信先、使用する経路にもとづいて許可と遮断を判断します。この方式では、許可した経路を使って送られてくる不正なデータまでは判断できない場合があります。通信の中身を確認する機能を持つ製品は、次世代ファイアウォールと呼ばれます。
ただし、機能を追加すれば侵入を防げると考えるのは早計です。機器の性能によっては、中身を確認する処理を有効にすると通信速度が落ちる場合があります。また、外部からの侵入経路は通信の入り口だけではなく、持ち込み端末やメール経由の可能性もあります。入り口の対策と端末側の対策を組み合わせて検討することが大切です。
検知した後の対応手順を用意する
不審な通信を検知しても、気づける人がいなければ対応は進みません。通知をどこへ送るか、誰が確認するか、確認できなかった場合にどうするかを、導入時に決めておく必要があります。
製品を選ぶ際は、通知の送り先を複数設定できるか、どの条件で通知を出すかを調整できるかを確認しましょう。通知が多すぎると確認が追いつかず、少なすぎると見落としにつながります。あわせて、検知した通信の詳細を後から確認できるか、遮断した内容を一時的に解除する手順があるかも見ておくと、業務への影響を抑えやすくなります。
ファイアウォールのルール管理の属人化を解消する
設定を作った担当者しか内容を把握していない状態は、異動や退職の際に運用が止まるリスクにつながります。ここでは、属人化が生じる仕組みと、解消に向けた進め方を整理します。
ルールが分からなくなる原因を整理する
属人化が起きる背景には、ルールを追加した理由が記録に残っていないことがあります。誰の依頼で、どの業務のために追加したかが分からないと、削除してよいかを判断できず、設定が増え続ける状態になります。
解消の第一歩は、既存ルールの棚卸しです。一覧を出力し、使われている形跡があるかを通信ログと突き合わせると、不要な候補を絞り込めます。判断がつかないものは、関係しそうな部署へ確認する期間を設けたうえで扱いを決めましょう。作業量が大きい場合は、拠点や部署ごとに分けて段階的に進める方法が現実的です。
記録が残る運用の形をつくる
棚卸しの後は、同じ状態に戻らない仕組みが必要です。ルール追加の申請書に、依頼者と目的、想定する利用期間を書く欄を設けると、後から判断しやすくなります。期限を設けたルールは、期限が来た時点で見直す運用にすると増加を抑えられます。
製品側では、設定変更の履歴を自動で残せるか、変更前の状態に戻せるか、ルールに説明文を付けられるかを確認しましょう。特定の担当者だけが操作できる状態を避けるため、権限を役割ごとに分けられるかも確認しておくとよいでしょう。複数人で内容を把握できる体制にしておくと、引き継ぎ時の負担も軽くなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でファイアウォールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
テレワーク環境の境界防御を見直す
社外から社内システムへ接続する働き方が広がると、社内と社外を分ける境界の考え方も変わります。従来の構成のままでは守りきれない場面が出てくるため、現状の把握から始めましょう。
社外からの接続経路を洗い出す
まず確認したいのは、現在どのような経路で社外から社内へ接続しているかです。暗号化された経路で社内ネットワークへ入る方式、クラウドサービスへ直接接続する方式、両方が混在している場合もあります。経路ごとに、どこで通信を確認しているかを整理しましょう。
社内を経由せずクラウドサービスへ直接つなぐ通信は、社内に設置したファイアウォールを通りません。この部分をどう扱うかが検討の分かれ目です。すべての通信を社内経由にすると本社側の負荷が上がり、直接接続を許可すると確認できる範囲が狭まります。業務への影響と管理のしやすさを並べて比較検討してください。
端末側の対策とあわせて考える
社外で使う端末は、社内のネットワークに守られていない環境で動きます。そのため、ネットワークの境界だけでなく、端末そのものを守る仕組みとあわせた設計が求められます。
製品を選ぶ際は、社外の端末を管理対象に含められるか、社内と同じルールを適用できるかを確認しましょう。クラウド型のサービスとして提供される製品では、端末の場所を問わず同じ設定を適用できる場合があります。ただし、対応できる端末の種類や、必要となる回線の条件は製品によって異なるため、自社の端末構成を伝えたうえで確認することをおすすめします。
ログ分析と運用工数を減らす
通信ログは膨大な量になり、すべてに目を通す運用は続きにくくなります。確認する対象を絞り込む仕組みと、作業を自動化できる範囲を検討しましょう。
確認する対象を絞り込む
ログを減らすのではなく、注目すべきものを浮かび上がらせる考え方が有効です。遮断された通信のうち繰り返し発生しているもの、通常業務では使わない時間帯の通信、普段と異なる通信先といった条件で絞り込むと、確認する件数を抑えられます。
製品を選ぶ際は、絞り込みの条件を自社で設定できるか、条件に合致したときに通知を出せるか、集計結果をレポートとして出力できるかを確認しましょう。外部のログ管理サービスへ転送できる仕組みがあれば、他の機器のログとあわせて分析する構成も検討できます。保存できる期間と容量の上限もあわせて確認しておくと、後から不足する事態を避けられます。
定型作業を減らす仕組みを取り入れる
運用工数を減らすには、毎回手作業で行っている処理を洗い出すところから始めます。レポートの作成、複数機器への同じ設定の反映、定期的な状態確認といった作業は、製品の機能で置き換えられる場合があります。
複数の機器を一つの画面から操作できる仕組みや、レポートを定期的に自動作成する機能があるかを確認しましょう。あわせて、外部のツールと連携するための接続手段が用意されているかも見ておくと、社内の他システムと組み合わせた運用を検討できます。導入前に、現在の作業時間を記録しておくと、効果の確認がしやすくなります。
老朽化したファイアウォール機器を更新する
機器には保守を受けられる期限があり、期限を過ぎると障害時の交換や更新が受けられなくなる場合があります。更新は費用も工数もかかるため、計画的に進めることが大切です。
更新の時期を見極める
更新を検討する目安になるのは、保守期限、ソフトウェア更新の提供終了時期、そして現在の性能で通信量をまかなえているかという3点です。導入時から従業員数や拠点数が増えている場合、機器の処理能力が実態に合わなくなっている可能性があります。
現状を把握するには、機器の管理画面で通信量や処理の負荷を確認しましょう。特定の時間帯だけ高い数値が出ている場合は、その時間帯の業務内容とあわせて原因を確認します。判断が難しい場合は、現在の構成と利用状況を示したうえで、ベンダーへ評価を依頼する方法もあります。
更新時に検討したい構成の変更
更新のタイミングは、構成そのものを見直す機会でもあります。機器を同等品に置き換えるだけでなく、クラウド型のサービスへ切り替える、拠点の構成をまとめるといった選択肢を並べて比較すると、長期の費用や工数の差が見えてきます。
切り替えを検討する場合は、現在の設定をどこまで引き継げるかを確認しましょう。設定の移行を支援する仕組みがあるか、移行作業を依頼できるかは製品や事業者によって異なります。あわせて、切り替え作業中に通信が止まる時間の想定と、問題が起きた際に元へ戻す手順も、計画に含めておくと安心です。
課題にあわせて検討したいファイアウォール
不正アクセスへの備え、ルール管理の見直し、老朽化した機器の更新など、解決したい課題によって選ぶ製品は変わります。
MRB-Cloud
- 常時最新のセキュリティを提供。ソフトの導入や定義の更新は不要
- ３つのインバウンドセキュリティで外からの脅威を防御します
- 外出先でも安全に通信可能でリモートワークにも対応します
株式会社アンペールが提供する「MRB-Cloud」は、クラウド型のUTMサービスです。ソフトウェアの導入や定義ファイルの更新を自社で行わずに済む作りのため、担当者が限られる環境でも運用を続けやすくなります。複数拠点の一元管理に対応している点もあわせて確認しておきましょう。
ビジネスセキュリティ（VSR）nシリーズ
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）nシリーズ」は、ファイアウォールを中心に複数のセキュリティ機能をまとめたUTM製品です。導入後の運用監視とオンサイトでの保守が含まれるため、社内で対応しきれない作業を任せたい場合に適した構成です。設定の変更依頼まで含めた範囲を確認しておきましょう。
QuantumSpark （チェックポイント・ソフトウェア・テクノロジーズ株式会社）
- AIで脅威防御し最新のサイバー攻撃に対応。
- FW/VPN/AV/URL/アプリ制御を一体提供。
- クラウドポータルで遠隔設定・監視が可能。
Sophos Firewall （ソフォス株式会社）
- 各拠点で設定する必要なし！本社で導入作業が完結
- あらゆる規模の企業に対応できる豊富なラインナップ！
- リモートアクセスでは特定領域にアクセスして機密情報を保護可能
ファイアウォールに関するFAQ
ファイアウォールの課題解決について、よく寄せられる質問と回答をまとめました。
- Q1： ファイアウォールを新しくすれば不正アクセスを防げますか？
- 入り口の対策として有効ですが、侵入の経路は通信の入り口だけとは限りません。端末側の対策や利用者への案内とあわせて、複数の対策を組み合わせて検討することをおすすめします。
- Q2： 不要なルールを削除して問題が起きないか不安です。
- 通信ログと突き合わせて利用実態を確認し、関係部署へ照会する期間を設けてから削除する進め方が現実的です。変更前の設定に戻せる仕組みがあるかも、事前に確認しておきましょう。
- Q3： ログの保存期間はどのくらい必要ですか？
- 業種や取引先から求められる要件によって変わります。参照すべき指針がある場合はその項目を確認し、必要な期間を満たせる保存方法を製品ごとに比較してください。
- Q4： 運用は自社で行うべきか外部へ委託すべきか迷っています。
- 担当できる人数と作業量から判断する方法が一般的です。機器の監視や一次対応は委託しやすく、どの通信を許可するかの判断は自社に残す形が多く見られます。
まとめ
ファイアウォールにまつわる課題は、製品の機能だけで解決するものと、運用ルールの整備が必要なものに分かれます。不正アクセスへの不安は検知後の対応手順、属人化は記録が残る申請の仕組み、ログや工数は絞り込みと自動化がそれぞれ論点です。機器の更新時期は構成を見直す機会にもなります。自社の課題を整理したうえで、複数の製品資料を取り寄せて比較検討を進めてください。
